Drei Teams knackten ein vollständig gepatchtes Pixel 10. Das iPhone 17 blieb unberührt.

Der Wettbewerb, der am Dienstag vor dem Mittagessen eine Philips-Hue-Bridge auseinandernahm, endete am Donnerstag in Cork. Schlussbilanz: 1.262.000 Dollar für 98 einzelne Zero-Day-Lücken, verteilt auf 29 Forschungsteams.

Der letzte Tag gehörte Googles Pixel 10. Drei Teams drangen aus der Ferne ein, also über einen Browser oder per NFC, WLAN, Bluetooth oder Mobilfunkmodem, nicht mit dem Gerät in der Hand. Ikotas Labs verkettete mehrere Fehler für 300.000 Dollar und holte den Titel Master of Pwn mit 361.000 Dollar aus vier Erfolgen. Xint bekam 150.000, das Team aus Dimitrios Valsamaras, Ken Gannon und Tenia Valsamara 112.500. Samsungs Galaxy S26 fiel im Lauf der Woche sechsmal. Apples iPhone 17 war das einzige Ziel, das niemand schaffte, trotz eines Preises von 300.000 Dollar darauf.

Der Rest der Liste besteht aus dem, was in gewöhnlichen Haushalten steht. Ein Sonos Era 300 fiel bei Jack Dates von RET2 Systems in weniger als einer Minute. Interrupt Labs brachte DOOM auf dem Bedienfeld eines Lexmark-Druckers zum Laufen. Team MAMMOTH schloss die Veranstaltung mit einer Kette aus sechs Zero-Days gegen einen Home Assistant Green ab. Jedes Gerät lief zum Zeitpunkt des Angriffs mit aktueller Firmware, und genau darum geht es bei der Übung.

Die Hersteller haben 90 Tage, bevor die technischen Details öffentlich werden, die Korrekturen tauchen also bis Januar in ganz normalen Updates auf, meist ohne Ankündigung. Es lohnt sich, vorher zu wissen, was eigentlich in Ihrem Netzwerk hängt. Der Netzwerkscan von Tendvane listet jedes mit Ihrem Router verbundene Gerät auf, auch die, an die Sie längst nicht mehr gedacht haben.